Las recomendaciones de RSF para periodistas que podrían ser espiados por Pegasus

A raíz de la revelación del «Proyecto Pegasus» y los 200 periodistas que han sido objetivo del software espía en todo el mundo, Reporteros Sin Fronteras (RSF) ha recopilado recomendaciones para quienes podrían ser objetivo de los compradores del software de vigilancia de alto rendimiento.

La fuerza de Pegasus se debe, sobre todo, a que «no existe ningún medio eficaz para que un usuario pueda contrarrestar este tipo de ataque», explica Claudio Guarnieri, experto en seguridad informática del Laboratorio de Seguridad de Amnistía Internacional. Diseñado por la empresa israelí NSO Group, este programa espía de alto rendimiento es capaz de succionar todo el contenido de un teléfono -mensajes, correos electrónicos, fotos, contactos, etc.- sin requerir ninguna acción particular del usuario y sin dejar rastros fácilmente detectables.

Ante la imposibilidad de protegerse contra un ataque de este tipo, los periodistas que trabajan en temas sensibles relacionados con cualquiera de los 11 clientes gubernamentales conocidos de NSO Group (los gobiernos de México, India, Marruecos, Indonesia, Arabia Saudita, Emiratos Árabes Unidos, Kazajstán, Azerbaiyán, Togo, Ruanda y Hungría) deberían tomar las siguientes medidas si sospechan una posible infección por Pegasus:

• Deja de usar su smartphone de inmediato y compra uno nuevo para seguir comunicándote. Conserva el dispositivo potencialmente infectado como prueba, pero mantenlo alejado de ti y de tu entorno de trabajo.
• Desconecta todas las cuentas del teléfono potencialmente infectadas y cambia todas las contraseñas desde otro dispositivo.
• Ponte en contacto con Forbidden Stories o expertos en TI como los del Laboratorio de Seguridad de Amnistía Internacional para ver si su número está en la lista filtrada de 50.000 números. El grupo de expertos de Amnistía Internacional también ha desarrollado una herramienta, Mobile Verification Toolkit (MVT) , que se puede utilizar para averiguar si un smartphone se ha infectado con Pegasus. Ten en cuenta que su uso requiere buenas habilidades de TI. Los periodistas también pueden enviar su número de teléfono a [email protected] para su verificación.

• Si no puedes reemplazar tu smartphone: 
  • Reinicia el teléfono. Los expertos de Amnistía han establecido que, en un iPhone, un reinicio puede detener temporalmente el funcionamiento de Pegasus en iOS.
  • Realiza un restablecimiento de fábrica del teléfono inteligente aunque esto no garantice la eliminación de Pegasus. Ten en cuenta que esto también puede destruir las pruebas de la infección.
  • Actualiza el software del sistema y todas las aplicaciones del teléfono.
  • Elimina todos los dispositivos desconocidos conectados a las diversas aplicaciones de mensajería y cuentas en línea (Signal, WhatsApp, Twitter, Facebook, etc.).
  • Recopila una lista de todas las contraseñas que se han introducido y almacenado en el smartphone. Después, cámbialas y no reutilices las viejas.

Si alguno de sus contactos cercanos ha sido infectado, deben seguir las mismas recomendaciones.

Aunque hasta la fecha no existe ninguna contramedida fiable contra Pegasus, ciertas acciones y buenas prácticas pueden complicar la tarea del software espía que intenta acceder al smartphone de un periodista:

Asegura tu smartphone:

• Protege tu smartphone con un PIN. Utiliza un PIN de seis dígitos como mínimo o, mejor aún, una frase fuerte y única (diferente de tus otras contraseñas). Utilizar un PIN fácil como «0000» o «1234» o tu fecha de nacimiento -ya sea para el propio teléfono o para la tarjeta SIM- no proporciona ninguna seguridad.
• Actualiza con frecuencia el software del sistema del smartphone.
• Instala una VPN. (Pero ten en cuenta que una VPN no protege contra ciertos tipos de ataques).
• Instala un software antivirus (Avast, McAfee o Kaspersky).
• Elimina las aplicaciones que no utilices.
• Apaga el smartphone al menos una vez al día. Esta simple medida puede ser suficiente para frustrar el funcionamiento de muchas aplicaciones de espionaje.

Asegura tu servicio de mensajería y tus cuentas de redes sociales:

• Activa la autenticación de dos factores en tus cuentas más importantes (Twitter, Google, Facebook, etc.).
• Desactiva iMessage y FaceTime (conocidos por ser puntos de entrada de Pegasus).
• Evita utilizar Google Home o cualquier otro asistente de voz.
• En un iPhone, desinstala aplicaciones de Apple como Apple Music, FaceTime, iMessage y Mail. Tenga en cuenta que debe desactivar iMessage antes de desinstalarlo.

Al usar tu smartphone:

• Siempre que sea posible, utiliza una VPN cuando navegues por Internet.
• Nunca hagas clic en enlaces de mensajes de números desconocidos.
• No utilices el Wi-Fi en lugares poco confiables, o utilízalo solo después de haber activado previamente tu VPN.
• Instala solo aplicaciones de la App Store (en un iPhone) o Google Play (en un teléfono Android).
• Bloquea las notificaciones y las solicitudes de permiso para acceder a tu lista de contactos.
• No permitas que tu smartphone guarde contraseñas. Utilice un administrador de contraseñas seguro como LastPass.
• Utilice Signal para comunicarse con sus fuentes.
• Para los periodistas que manejan información muy sensible, puede ser una buena idea usar un teléfono que no esté conectado a Internet: un teléfono móvil antiguo o un teléfono inteligente sin acceso a datos.

Otros recursos útiles:

• La línea de ayuda de seguridad digital de Access Now puede diagnosticar tus problemas y proporcionar asesoramiento técnico útil en nueve idiomas.
• El botiquín de primeros auxilios digital ofrece consejos sobre un dispositivo que se comporta de manera sospechosa, del mismo modo que la autodefensa de vigilancia.